OpenClaw 创始团队首次复盘:龙虾可能是最安全的 AI Agent

8月31日，OpenClaw 2.0发布，这是该项目迄今为止规模最大的一次更新，这次更新暂停了此前 230 天发布 106 个版本的高频节奏，转而用近两个月时间重构了安装引导、浏览器控制台、多人协作会话、记忆与凭证安全体系。其中最受关注的，是Agent 请求密钥时，密钥本身不会进入对话记录或模型上下文窗口，从根源上堵住了此前因日志、聊天记录泄露 API Key 而被间接提示词注入攻击利用的老问题。

版本发布前几天，GitHub 官方博客发布一期与OpenClaw 团队的对话节目。主持人 Gregg Cochran 与 OpenClaw 创始人 Peter Steinberger，以及 Sally O'Malley、Josh Lehman、Brad Groux、Vincent Koc、Josh Avant、Val Alexander 等多位核心维护者一同回顾了这个 GitHub 历史上增长最快的项目，本次对话回顾了项目起源、病毒式传播、企业内部真实的使用生态、非营利治理的选择、安全争议背后的真实情况、中国生态的合作方式，以及每个人的 Claw 在自己生活里究竟扮演什么角色。

团队并不认同外界关于 OpenClaw 不安全的舆论。他们的判断是，经过与英伟达、微软等安全团队的持续共建，OpenClaw 有可能是目前市面上最安全的 Agent 之一，外界的恐慌更多是媒体寻求流量的夸大。

团队透露，项目至今没有任何产品遥测系统，团队主动放弃了这条捷径，转而用 AI 抓取 Discord、Twitter、GitHub 上的公开讨论来判断社区在关心什么，他们认为在开源项目里植入用户行为追踪并不是一个好主意。

此外，Peter放弃了融资路线，选择把项目交给非营利基金会是因为他认为只有非营利架构，才能保证数据由用户自己掌控、可以自由更换任何模型这件事，不会因为商业公司的利益而被改写。

01 项目起源

Peter Steinberger 认为自己有个规律，每次感到心烦意乱，就会诞生新点子。当时他想给电脑发一句提示词，原以为大厂早就做出了这种功能，但一次次失败后，恼火到极点的他干脆自己动手，花一个小时写出了 V-Relay，让自己能用 WhatsApp 与电脑对话。做出来之后他很快又想给它发图片，这花掉了剩下的整晚。在他多次讲述过的版本里，真正的转折点发生在一次去马拉喀什的旅行。当地网络很差，WhatsApp 却始终能用，他靠它做完了所有翻译。某次他随手发了一条语音消息，朋友之间发消息习惯用语音，他盯着屏幕上的正在输入提示，心里判断这根本不该工作，因为这个功能压根没被开发过。几秒后 AI Agent 若无其事地回复了，还主动解释了自己是怎么处理一个没有后缀名的文件的：检测出是音频、格式不对、转码、试图调用本地 Whisper 未果、找到一个 OpenAI 密钥、上传、拿到文本、回复。他表示，那一刻让他确信，AI 在编程能力上的进步已经让它变成了一个通用问题解决器，给它一个没有后缀名的文件，它会自己想办法解决，而且真的解决了。

02 病毒式蔓延，每个人都有一个顿悟时刻

几位维护者回忆了各自入坑的经过。Sally O'Malley 表示自己在与 Agent 互动时产生了一种近乎神奇的感觉，这是她此前在 AI 领域从未有过的体验。Josh Lehman 把它跑起来后意识到这东西可以在自己的电脑上为所欲为，于是不断把它接入越来越多的通讯工具，直到因为它在 Signal 上自动回复了火人节群组里的每一条消息而被踢出群。Brad Groux 是重度微软用户，一月中旬看到铺天盖地的讨论后去找微软 Teams 插件，花两个小时、十七个步骤才配置完成，他表示幸好后来在微软帮助下操作阻力已大幅降低。

Peter Steinberger 补充了项目命名的插曲。项目最初叫 WhatsApp Relay，后来有人提交了 Discord 支持的 PR，他起初觉得这完全偏离初衷，恼火到把 PR 晾了好几周，但最终好奇心占了上风还是合并了，并被迫改名，先是 Claudis，后来是 Cloudbot，故事就这样继续演变。

Vincent Koc 提到自己是重度网民，在 X 上看到大量做加密货币交易的人都在讨论这个新机器人，配置到 iMessage 后连续五天都在与它聊天，逢人就介绍这个龙虾项目会改变世界，却被朋友提醒需要冷静一下。他还讲述了自己引起 Peter 注意的方式，Peter 一开始根本不理他，他索性从提交安全漏洞入手，一口气交了近四十个都被验证通过的 GitHub 安全公告，凌晨两点收到 Discord 邀请加入。他问该做什么，得到的回复是把你弄出的烂摊子修好，他认为这与维护其他开源项目时那种循序渐进的经验完全不同，这里的规则是带着目标加入，你知道自己擅长什么，你被选中了，放手去负责。

Josh Avant 提到自己十一月就在推特上关注 Peter，眼看着一个好玩的业余项目变成能装摄像头看家、能对话的东西，随后决定全职投入。Val Alexander 则是先泡在社区语音频道听大家提问，思考自己能创造什么价值，发了几封邮件、拿到推荐后才引起 Peter 注意。

03 维护 GitHub 史上增长最快的项目

谈到维护这样一个项目的代价，Peter Steinberger 用失去了一切来形容。他指出，自己从未参与过关注度如此巨大、意见如此多元、被拉向各种不同方向的项目，过去六个月为了完全投入，彻底暂停了正常生活。有时被海量错误报告压得喘不过气，有时又能听到最不可思议的用户故事。他提到，项目在快速增长期，Issue 和 PR 区一度沦为垃圾广告市场，他现在干脆把 PR 称为提示词请求。

Brad Groux 认为，一个人在几个月内颠覆了世界最强科技巨头的格局，这正体现了 AI Agent 时代的力量，也印证了科技是伟大的平衡器这个判断。但他坦言，一旦外界知道你是维护者，请求会从曾经无比仰望的行业大佬那里潮水般涌来，躺在床上满脑子都在想还能怎么用它、怎么改进它。

Vincent Koc 提到一个容易被忽视的事实，直到不久前，团队里很多人其实还有全职工作、有自己的生活，但社区里存在一种理所当然的期待，为什么还不发版、为什么不修 Bug、为什么不合并 PR，需求多到根本停不下来。他坦言，外界总认为他们是顶级工程师，而自己却会反问是否真是如此，随之陷入冒名顶替综合症，开始怀疑自己做的每一个决定，不过他表示自己现在已经走出了那个阶段。

04 企业为什么偷偷在用

Sally O'Malley 指出，当她第一次审视 OpenClaw 代码库时就意识到，这是对软件开发方式的一次彻底重写，而她所在的公司里几乎没人能理解这一点，但她加入团队第一天就深刻明白了这一点。

Vincent Koc 类比了 ChatGPT 早期的处境，很多公司嘴上宣称绝不会用、要彻底封杀，但内部高管其实都在私下使用，因为他们突然拥有了触手可及的智能。他表示，团队非常确定目前有大量企业正在或已经把它推广给全体员工，只是不愿在公开场合承认，不想在这个领域显得过于激进。

05 治理设计：十个 PR 上限与提示词请求时代的贡献规则

Val Alexander 长期负责控制界面和 Claw Hub，离贡献者与用户体验最近。她表示，请求检查私信里的 PR 是所有人最常听到的话，已经成了引发创伤应激的触发词，一个问题一旦面对太多意见和方案，就容易变成噪音混乱的战场。团队因此定下每位贡献者最多同时挂十个未处理 PR 的规则，她认为如果没有这个限制，未处理数量很可能轻易突破一万。她还提到一次经历，自己在正式加入前提交过一个 PR，第二天被合并，兴奋之余打开一看代码，却发现根本不是自己写的、内容毫不相干，这确实让人受打击，但她认为这就是项目现在的运作方式。

Peter Steinberger 补充，直到二月项目都还没有 npm install，需要 git clone 后自己构建。他为项目赋予了很强的自我意识，人们为实现自己想要的功能修改系统，系统重启后 Agent 就自然掌握了新技能。他表示自己为项目接纳了很多人人生中的第一个 PR 感到自豪，即便其中大多数代码质量很差、最终要重写，他仍然认为这不是重点。他回忆多年前自己第一个 PR 被接受时的感受，希望更多人也能体验到，而不是像现在很多项目那样盲目抵制 AI 或设置白名单门槛。

Vincent Koc 指出，很多首次合并的 PR 根本不是开发者提交的，而是用户找到方式让 Agent 生成并提交，随后由维护者接手完成最后一段的修改并直接推向合并，他认为这正是开源社区真正的魔力所在。Josh Avant 提到 GitHub 会标出首次贡献者，他会特意在合并时感谢对方的第一次贡献。

不过治理也遭遇过阴暗面。Josh Lehman 回忆，限制刚开始实施时，有贡献者手握数百个 PR，像在运作全自动软件代工厂，甚至挖掘别人已经开启的 PR 和 issue 企图据为己有。Peter Steinberger 举例，有公司为宣传自己的云主机，在终端里随手敲一句修复 OpenClaw 某个随机编号的问题就生成 PR，随后大肆宣传系统有多智能。Vincent Koc 认为这类复制粘贴行为是为了刷合并次数积累的信任信号徽章，团队为此不得不消耗大量 GitHub API 额度去甄别谁是原创者。

Josh Lehman 认为，这是他见过第一个把维护者直接编辑改对代码常态化的项目，重点是想清楚 PR 真正想实现什么、是否是最好的方法，而不是在评论区反复拉扯。Peter Steinberger 也认同，如果觉得想法不错，他会顺着往下自己写完。Vincent Koc 还提到一段荒诞经历，与一位不断私信自己的贡献者在 Discord 上争论，忽然意识到对方可能是个 AI，便随口问了里斯本和纽约时差换算成分钟是多少，对方毫无感情地直接给出了数字，他坦言当时的感受近乎荒唐，深夜与一个 AI 争论这件事本身让人哭笑不得。

06 非营利而非融资

Peter Steinberger 解释了选择非营利路线而非风险投资的原因。他认为，OpenClaw 的魅力在于用户可以把它完全变成自己的专属工具，完全开源，用 TypeScript 编写，数据由自己的机器掌控，可以使用任何模型。他判断，如果围绕它成立商业公司，就没有办法向大家保证这些特性能持续存在。他坦言，成立基金会本身也相当于运营一家公司，治理规则繁琐，每笔资金都要记录在案才能合规，设立过程比预期漫长得多，但他认为这是正确的路径，项目从此有了不会被夺走的坚实基础，基金会拥有项目本身，即便他以后想改变什么，也无法一意孤行。

关于模型中立性，Peter 认为 OpenAI 明白任何能让人们对 AI 感到兴奋的项目对所有人都有好处，团队构建了插件接口，让每家公司都能接入自己的模型，即便不必提交 PR 也会主动提交，因为都希望进入核心代码库，这最终帮助所有企业在市场上发挥作用。微软可以用 Copilot 作为 Harness 在其上构建 OpenClaw，OpenAI 可以用 Codex 作为 Harness，Anthropic 也可以用自己的 SDK，尽管他判断 Anthropic 不一定会这么做。他认为这一切让项目变得更加灵活，并对此感到自豪。

07 每个人的龙虾都在做什么

Vincent Koc 表示自己的 Claw 首要任务是帮他处理大量信息、提醒需要回复的内容，还了解自己的偏好、去过哪里、现在在哪里。Josh Lehman 认为 OpenClaw 是他构思任何想法的起点，因为它就在手机里，在他与人交谈的地方。Brad Groux 把它形容为生活的编排者，可以随时在工作和生活间切换，甚至在休斯顿的堵车路上通过 CarPlay 与它交流，他表示很多好点子都是在路况让人沮丧时碰撞出来的。Peter Steinberger 表示自己把 Claw 当作生活助手，用 Telegram 做头脑风暴，编程主要在 Codex 里完成，但 Codex 知道如何与 Claw 交流，需要了解私人生活信息时，两者会互相对话。Val Alexander 打了个比方，这就像拥有一个技能丰富的员工，第一天可靠性有待观察，但到了第一百天会变得极其可靠，不再需要时刻盯着。

08 交互的未来：通讯软件只是过渡形态

Gregg Cochran 提出，Telegram、WhatsApp 这类通讯应用被认为只是 OpenClaw 的临时界面，真正的界面会是什么样。Peter Steinberger 坦言现在还不知道答案，他不认为很多产品正在变成的更常规的聊天应用是最终形态，他判断理想中的形式应该能灵活切换文本、按需展示界面、也能使用音频，或许需要某种流动用户界面，但目前还没有人真正想清楚。

Vincent Koc 提出了一个讨论中的理念，本质上人们工作时有一个 Claw，生活里也有一个，类似工作人格与生活人格的分野，这些人格之间该如何沟通、组织的 IT 团队是否放心信息在其间共享，都还是开放问题。

09 是最安全的 Agent 之一

Peter Steinberger 认为，要从 Agent 获得巨大价值，并不需要让它接触生产系统。他判断早期舆论将 OpenClaw 描述为史上最不安全的项目、并当作恐慌素材传播是很奇怪的事，归根结底它只是给编程 Agent 提供提示词的一个渠道，那个 Agent 完全可以在沙盒里运行，也可以在无限制模式下运行。他承认攻击向量确实会更多，但认为这与媒体的夸大描绘并不相符。他提到过去几个月与英伟达、Atlassian、小米、微软等合作审查代码库、加固各个渠道的安全性，团队因此正被全世界的安全工程师视为目标，也因此在代码库安全上投入了大量精力，他判断 OpenClaw 目前很可能已是市面上最安全的 AI Agent 之一。他同时建议不放心的人可以从只读 Agent 起步，先在自己认为安全的单个或多个文件夹里使用。

Brad Groux 质疑任何认为 OpenClaw 不安全的论调，他判断安全性最终取决于组织自身保护数据的专业能力，微软掌握着全球绝大多数大型组织的身份验证系统，只要团队做好尽职调查、设置好治理机制，在微软技术栈上的部署会相当安全。他提到微软近来的转变，构建了原生 Windows 应用，让用户可以与 OpenClaw 交流、授予电脑访问摄像头等权限，并将其完全转移至 OpenClaw 基金会、以 MIT 协议开源。他认为更值得关注的是，微软内部已有一万一千名员工在使用 OpenClaw 作为知识工作场景下的代理化工具，并计划将这项技术带给客户。

谈到 Nemo Claw，即在开源核心之上增加沙盒机制、隐私路由器与不可变审计日志，Vincent Koc 表示沙盒和安全功能是有代价的，会拖慢运行速度、限制能力，但能给人一种被锁在独立容器里的安全感，在高度受监管、合规导向的环境中确实需要控制 Agent 的实际行为。他判断技术其实还在追赶这一领域的需求。Sally O'Malley 提出一个尚无定论的问题，企业场景中 Agent 犯错该由谁负责，是否存在责任追究框架。Vincent Koc 回应，技术发展太快，人们还没充分理解它的能力边界，基金会的使命之一就是让每个人都能做出有意识的决定、了解软件是如何工作的，他认为过度限制会让 Agent 变成中看不中用的摆设，是否承担风险取决于使用者自己。Val Alexander 补充，人本身也可能给别人发一封愚蠢的邮件，人本身也是风险源。

在遥测问题上，Vincent Koc 坦言团队并不清楚确切的活跃用户数，个人估计大概在千万级别、可能接近大几千万，但没有确切数字，因为项目里完全没有任何遥测数据。Peter Steinberger 解释，团队构建了另一种形式的遥测，为 Discord、推特、GitHub 开发爬虫程序，再用 Agent 审查抓取到的数据，以此判断社区在讨论什么、该关注什么，虽不如产品内遥测精准，但他认为在开源项目里植入用户数据收集功能并不是个好主意。Val Alexander 补充，产品遥测往往偏营销导向，她更倾向用 Codex 自动化生成关于控制界面、iOS、macOS 应用的报告，从 Issue 和待处理 PR 中提取信息、分类并给出解决方案。

关于默认安全的边界，Vincent Koc 认为安全对不同人的定义可能截然不同，对自己而言默认安全就是 YOLO 模式，因为信任 Agent 的能力和训练数据，但这对其他人来说可能非常可怕。过度收紧安全设置会破坏体验、引发用户抱怨，放松又可能触发安全团队的漏洞警告，两者之间的平衡异常艰难。Peter Steinberger 举例，团队曾规定 Agent 只能在设定的工作区内运行，但用户总用符号链接把其他文件夹映射进来突破边界，团队因此屏蔽了这种操作，随即收到大量投诉，不屏蔽又会被安全事件淹没。Josh Lehman 总结，核心难题是如何让这项对世界而言全新的事物尽可能普及易用，同时又能在不同环境下保持可控，因为每个人对安全的定义可能天差地别。

被问及构建一个连自己母亲都能安全使用的 Agent 这一目标还有多远，Peter Steinberger 表示门槛确实比以前低了很多，团队正在设计全新的新手引导流程，但让母亲本地安装还是直接用云端部署仍是个待权衡的问题，他判断目前 OpenClaw 在很大程度上仍偏向高级用户，也许还需要几个月时间。

10 与中国的合作

Peter Steinberger 认为，他在中国看到的主要景象是人们对 AI 极度充满热情，每天都在思考能自动化什么、怎么让生活更简单高效，这种热情的程度他在其他任何地方都没见过。

Vincent Koc 提到，团队注意到中国出现了尝试克隆项目的动向，于是主动选择合作，保持中立、和所有人友好相处，与美国团队及 Convex、Vercel 等托管服务提供商一起，帮助在中国生态里构建了一个基本上是克隆版的项目，双方能收到彼此的下载统计数据，他认为看到两个传统上融合度不高的技术生态真正协作、良好运转，感觉非常奇妙。

Peter Steinberger 补充，随着微软真正拥抱 OpenClaw，小米的每位员工都拥有了自己专属身份的数字 Agent 克隆体，人与 Agent 可以对话，Agent 之间也可以互相交流，这些公司维护着自己的分支，基金会正与他们合作了解痛点、判断代码库需要在哪些地方调整。Sally O'Malley 提到英伟达相关的进展让她很受鼓舞，她也在红帽内部组建了团队，探索如何在产品组合与内部问题中使用类似 OpenClaw 的 Agent。Val Alexander 表示，看到这个项目被一次又一次证明可以被适配、被改造成专属工具，同时经受着前所未有的实战检验，让她很受鼓舞。

11 GitHub 安全开源基金：维护者之间的互助

对话中也提到团队参与 GitHub Secure Fund 的经历，该基金将开源资助直接与安全交付成果挂钩。Vincent Koc 认为最大的收获，是意识到世界上还有其他项目的维护者正经历着同样的痛苦，现在有了一个可以互相交流、借力的维护者社区。Josh Lehman 提到基金举办的专门会议深入探讨了维护者需要关注的方方面面，其中一场关于系统崩溃突发事件的分享，第一步建议竟然是先去喝杯咖啡、深呼吸，他认为这让团队重新关注到维护者这份工作里人的一面。

Val Alexander 指出，随着 AI 越来越强大，AI 产生的漏洞也在增加，团队要么直接拒绝所有 AI 提交的 PR、活在自欺欺人的幻想里，要么正视现实、思考如何借助 AI 更深入理解每一次代码改动。她表示现在很喜欢用 GitHub Copilot 做全部代码审查，一键梳理改动文件及其作用，这让她对代码本身有了更深的理解。Josh Avant 坦言自己此前并没有太多安全背景，现在也不敢说具备深厚的安全背景，但他认为了解有哪些安全实践、适用于什么场景，已经足够让他知道该如何向 Agent 下达指令。

Vincent Koc 还提到最近的供应链攻击事件促使团队像用放大镜一样彻查所有依赖项，因为有了 Token 就能随时重构某个组件或库，这让团队开始与所依赖项目的维护者真正建立联系，而不是像商业社会里那样清楚知道东西是谁送来的，开源世界却完全不知道对方是谁。

12 给新加入者的建议：公开构建，展示思考过程

被问及新维护者该如何开始参与，Peter Steinberger 建议不要只是把 PR 扔进代码库就消失，而是先去团队氛围友好的 Discord 社区交流、展示自己的 PR，并做好被打磨的准备。他特别看重能否上传开发过程中的对话记录、附上测试截图证明可行性，他表示团队很难从海量通知里分辨出这是五分钟的小补丁还是几个小时的心血，没人在乎代码是不是手写的，但很在乎贡献者是否真正思考过这个功能将如何与其他功能交互，投入的心思越多，被合并的可能性就越大。Vincent Koc 补充，如果能展现出一些人情味，让维护者知道对方确实在这上面花了心思，团队一定会尊重并珍视这份劳动。

Val Alexander 建议贡献者想清楚自己能提供什么独特价值、热情所在，如果对命令行界面情有独钟，就专注在这个方向，不必勉强自己啃图形界面模块。Vincent Koc 提醒，很多人误以为开源项目只能靠提交代码来贡献，却忽略了背后还有庞大的生态系统，除了主代码库，还有大量周边仓库、库文件、线下聚会与公司内部的技术分享都值得投入。

Brad Groux 提出的第一个挑战是公开构建。他认为大家其实都在某种程度上带着冒名顶替综合症，但如果选择公开构建，会发现社区非常乐意包容你、欣赏你把作品公之于众接受审视的勇气与虚心接受反馈的态度，他坦言自己在维护者频道里常觉得自己是全场最笨的人，但正是这些人在背后拉了他一把。Sally O'Malley 提到，正是 Peter 亲自挑选了这些维护者，把一群真正关心并热爱项目的人聚在了一起。Val Alexander 则表示，自己学习新知识最好的方式就是强迫自己去帮别人解答问题。

Peter Steinberger 表示对每一位参与项目的人充满感激，那些主动伸出援手、没有辜负他信任的人，带来了绝妙创意，也偶尔冒出过糟糕点子，在他心情低落时帮他重拾状态。他坦言项目才诞生六个月，自己甚至无法想象一年后会是什么样子，更不用说以 AI 行业一个月相当于传统行业一年的速度推算十个月后的情形。

他特别感谢 GitHub 是完美的合作伙伴，遇到麻烦总能迅速解决，甚至直接给团队账号升到最高权限。他感谢英伟达在项目极早期主动询问需要什么帮助，并在得知安全报告让他不堪重负后，直接派出专业安全团队协助处理漏洞，还有许多来自其他机构的全职工程师和安全专家在业余时间以近乎全职的投入担任维护者。他也感谢提供 CI 服务的 Blacksmiths，帮助团队应对每日大量 PR 带来的全量测试压力。

截至对话时，项目的 Issue 与 PR 总数已接近九万。Brad Groux 总结道，开源通常需要一个村庄的力量，但对 OpenClaw 来说，它需要一整座小城市的力量。现场所有人应和，一座龙虾之城。